Entscheidung der Kommission
vom 27. Dezember 2001
hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG
(Bekannt gegeben unter Aktenzeichen K(2001) 4540)
(Text von Bedeutung für den EWR)
(2002/16/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1), insbesondere auf Artikel 26 Absatz 4,
in Erwägung nachstehender Gründe:
(1) Nach der Richtlinie 95/46/EG müssen die Mitgliedstaaten dafür Sorge tragen, dass die Übermittlung personenbezogener Daten in ein Drittland nur dann erfolgen kann, wenn das betreffende Drittland ein angemessenes Schutzniveau gewährleistet und Gesetze der Mitgliedstaaten, die den anderen Bestimmungen der Richtlinie entsprechen, vor der Übermittlung berücksichtigt werden.
(2) Artikel 26 Absatz 2 der Richtlinie 95/46/EG sieht jedoch vor, dass die Mitgliedstaaten, sofern bestimmte Garantien vorliegen, eine Übermittlung oder eine Kategorie von Übermittlungen personenbezogener Daten in Drittländer genehmigen können, die kein angemessenes Schutzniveau gewährleisten. Diese Garantien können insbesondere in einschlägigen Vertragsklauseln festgeschrieben werden.
(3) Nach der Richtlinie 95/46/EG ist das Datenschutzniveau unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen; die gemäß dieser Richtlinie eingesetzte Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten(2) hat Leitlinien für die Erstellung solcher Beurteilungen veröffentlicht(3).
(4) Die Standardvertragsklauseln beziehen sich nur auf den Datenschutz. Dem Datenexporteur und dem Datenimporteur ist es freigestellt, weitere geschäftsbezogene Klauseln aufzunehmen, die sie für vertragsrelevant halten, sofern diese nicht im Widerspruch zu den Standardvertragsklauseln stehen.
(5) Diese Entscheidung sollte die nationalen Genehmigungen unberührt lassen, die von den Mitgliedstaaten nach ihren eigenen Rechtsvorschriften zur Umsetzung von Artikel 26 Absatz 2 der Richtlinie 95/46/EG erteilt werden können. Diese Entscheidung hat lediglich die Wirkung, dass die Mitgliedstaaten die hier aufgeführten Vertragsklauseln als angemessene Garantien anerkennen müssen, und lässt daher andere Vertragsklauseln unberührt.
(6) Diese Entscheidung beschränkt sich darauf festzulegen, dass die aufgeführten Vertragsklauseln von einem für die Datenverarbeitung Verantwortlichen, der in der Gemeinschaft ansässig ist, angewandt werden können, um nach Artikel 26 Absatz 2 der Richtlinie 95/46/EG angemessene Garantien für die Übermittlung personenbezogener Daten an einen Auftragsverarbeiter, der in einem Drittland ansässig ist, zu gewährleisten.
(7) Diese Entscheidung sollte die Verpflichtung gemäß Artikel 17 Absatz 3 der Richtlinie 95/46/EG durchführen und lässt den Inhalt eines solchen Vertrags beziehungsweise Rechtsakts unberührt. Einige der Standardvertragsklauseln, vor allem diejenigen bezüglich der Pflichten des Datenexporteurs, sollten übernommen werden, um die Bestimmungen zu verdeutlichen, die in einem Vertrag zwischen einem für die Datenverarbeitung Verantwortlichen und einem Auftragsverarbeiter aufgenommen werden können.
(8) Die Kontrollstellen der Mitgliedstaaten spielen eine Schlüsselrolle in diesem Vertragsmechanismus, weil sie sicherstellen, dass personenbezogene Daten nach der Übermittlung angemessen geschützt werden. In Ausnahmefällen, in denen Datenexporteure es ablehnen oder nicht in der Lage sind, dem Datenimporteur angemessene Anweisungen zu geben und in denen eine hohe Wahrscheinlichkeit besteht, dass der betroffenen Person ein schwerwiegender Schaden entsteht, sollten die Standardvertragsklauseln es den Kontrollstellen ermöglichen, Datenimporteure zu prüfen und gegebenenfalls Entscheidungen zu treffen, denen Datenimporteure Folge leisten müssen. Die Kontrollstellen sollten befugt sein, eine Datenübermittlung oder eine Reihe von Datenübermittlungen auf der Grundlage der Standardvertragsklauseln zu untersagen oder zurückzuhalten; dies gilt für jene Ausnahmefälle, für die feststeht, dass sich eine Übermittlung auf Vertragsbasis wahrscheinlich sehr nachteilig auf die Garantien und Pflichten auswirkt, die den betroffenen Personen angemessenen Schutz bieten sollen.
(9) Die Kommission könnte zukünftig ferner überlegen, ob Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Datenverarbeiter in Drittländern, die kein angemessenes Datenschutzniveau gewährleisten und die von Industrieverbänden oder anderen interessierten Parteien vorgelegt werden, angemessene Garantien im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG bieten.
(10) Die Weitergabe personenbezogener Daten an einen Datenverarbeiter, der außerhalb der Gemeinschaft ansässig ist, stellt eine internationale Datenübermittlung dar, die nach Kapitel IV der Richtlinie 95/46/EG geschützt ist. Diese Entscheidung betrifft nicht die Übermittlung personenbezogener Daten durch für die Verarbeitung Verantwortliche, die in der Gemeinschaft ansässig sind, an für die Verarbeitung Verantwortliche außerhalb der Gemeinschaft, die nach der Richtlinie 95/46/EG in den Anwendungsbereich der Kommissionsentscheidung 2001/497/EG vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer fallen(4).
(11) Die Standardvertragsklauseln sollten die technischen und organisatorischen Sicherheitsmaßnahmen vorsehen, die einen Schutz gewährleisten, der den durch die Verarbeitung entstehenden Risiken und der Art der zu schützenden Daten angemessen ist, und die ein Datenverarbeiter in einem Drittland ohne angemessenes Schutzniveau anwenden muss. Die Parteien sollten diejenigen technischen und organisatorischen Maßnahmen vertraglich vorsehen, die unter Berücksichtigung des anwendbaren Datenschutzrechts, des Stands der Technik und der bei ihrer Durchführung entstehenden Kosten erforderlich sind, um personenbezogene Daten gegen die zufällige oder unrechtmäßige Zerstörung oder den zufälligen Verlust, die Änderung, die unberechtigte Weitergabe oder den unberechtigten Zugang und gegen jede andere Form der unrechtmäßigen Verarbeitung zu schützen.
(12) Zur Erleichterung des Datenflusses aus der Gemeinschaft ist es wünschenswert, dass Auftragsverarbeiter, die Dienstleistungen der Datenverarbeitung für mehrere für die Verarbeitung Verantwortliche in der Gemeinschaft erbringen, die Möglichkeit erhalten, ungeachtet des Mitgliedstaats, von dem die Datenübermittlung ausgeht, die gleichen technischen und organisatorischen Sicherheitsmaßnahmen anzuwenden, insbesondere wenn der Datenimporteur von verschiedenen Einrichtungen des Datenexporteurs in der Gemeinschaft Daten zur Weiterverarbeitung erhält; in diesem Fall sollte das Recht des Mitgliedstaats, in dem der Datenexporteur ansässig ist, Anwendung finden.
(13) Es ist angebracht, die Mindestinformationen festzulegen, die von den Parteien in dem Vertrag über die Übermittlung mitgeteilt werden müssen. Die Mitgliedstaaten sollten weiterhin befugt sein, die Informationen im Einzelnen zu benennen, die von den Parteien vorgelegt werden müssen. Die Umsetzung dieser Entscheidung sollte im Lichte der Erfahrung geprüft werden.
(14) Der Datenimporteur sollte die übermittelten personenbezogenen Daten nur im Auftrag des Datenexporteurs und entsprechend dessen Anweisungen sowie den in den Klauseln enthaltenen Pflichten verarbeiten. Der Datenimporteur sollte die personenbezogenen Daten nur unter bestimmten Bedingungen an Dritte weitergeben. Der Datenexporteur sollte den Datenimporteur während der Dauer der Datenverarbeitungsdienste anweisen, die Daten gemäß seinen Anweisungen, dem anwendbaren Datenschutzrecht und den in den Klauseln beschriebenen Pflichten zu verarbeiten. Die Übermittlung personenbezogener Daten an Auftragsverarbeiter, die außerhalb der Gemeinschaft ansässig sind, berührt nicht die Tatsache, dass die Verarbeitung in jedem Fall unter das anwendbare Datenschutzrecht fällt.
(15) Die Standardvertragsklauseln sollten durchsetzbar sein, und zwar nicht nur von den Organisationen, die Vertragsparteien sind, sondern auch von den betroffenen Personen, insbesondere wenn ihnen als Folge eines Vertragsbruchs Schaden entsteht.
(16) Die betroffene Person sollte berechtigt sein, gegen den Datenexporteur, der für die Verarbeitung der übermittelten personenbezogenen Daten verantwortlich ist, Schritte einzuleiten und von diesem gegebenenfalls Schadensersatz zu verlangen. In Ausnahmefällen sollte die betroffene Person auch berechtigt sein, Schritte gegen den Datenimporteur einzuleiten und von diesem gegebenenfalls Schadensersatz zu verlangen wegen Verstoßes des Datenimporteurs gegen dessen in Klausel 3 Absatz 2 genannte Pflichten, und zwar wenn das Unternehmen des Datenexporteurs sich tatsächlich aufgelöst hat oder rechtlich aufgehört hat zu bestehen.
(17) Wird eine Auseinandersetzung zwischen einem Datenimporteur, der sich auf die Drittbegünstigtenklausel beruft, und dem Datenimporteur nicht gütlich beigelegt, sollte sich der Datenimporteur verpflichten, der betroffenen Person die Wahl zwischen einem Schlichtungs- oder Schiedsverfahren oder einem Gerichtsverfahren anzubieten. Die tatsächlichen Wahlmöglichkeiten der betroffenen Person hängen von dem Vorhandensein zuverlässiger und anerkannter Schlichtungs- und Schiedssysteme ab. Falls die Kontrollstelle des Mitgliedstaats, in dem der Datenexporteur ansässig ist, zur Schlichtung bereit ist, sollte diese Möglichkeit angeboten werden.
(18) Auf den Vertrag ist das Recht des Mitgliedstaats anzuwenden, in dem der Datenexporteur ansässig ist und das es einem Drittbegünstigten ermöglicht, die Einhaltung des Vertrags durchzusetzen. Betroffene Personen sollten, wenn sie dies wünschen und das nationale Recht es zulässt, von Vereinigungen oder sonstigen Einrichtungen vertreten werden können.
(19) Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine Stellungnahme zu dem Schutzniveau abgegeben, das die der Entscheidung beiliegenden Standardvertragsklauseln bieten; die Stellungnahme wurde bei der Erarbeitung dieser Entscheidung berücksichtigt(5).
(20) Die in dieser Entscheidung enthaltenen Maßnahmen stimmen mit der Stellungnahme des Ausschusses überein, der durch Artikel 31 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Die Standardvertragsklauseln im Anhang gelten als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG.
Artikel 2
Diese Entscheidung betrifft ausschließlich die Angemessenheit des Schutzes, der durch die im Anhang aufgeführten Standardvertragsklauseln bei der Übermittlung personenbezogener Daten gewährleistet wird. Die Anwendung anderer nationaler Vorschriften zur Durchführung der Richtlinie 95/46/EG, die sich auf die Verarbeitung personenbezogener Daten in den Mitgliedstaaten beziehen, bleibt davon unberührt.
Die vorliegende Entscheidung betrifft die Übermittlung personenbezogener Daten durch für die Verarbeitung Verantwortliche, die in der Gemeinschaft ansässig sind, an Empfänger außerhalb der Gemeinschaft, die nur als Auftragsverarbeiter fungieren.
Artikel 3
In Rahmen dieser Entscheidung
a) gelten die Begriffsbestimmungen der Richtlinie 95/46/EG;
b) bezeichnet der Begriff "besondere Datenkategorien" die in Artikel 8 dieser Richtlinie genannten Daten;
c) bezeichnet der Begriff "Kontrollstelle" die in Artikel 28 dieser Richtlinie genannte Stelle;
d) bezeichnet der Begriff "Datenexporteur" den für die Verarbeitung Verantwortlichen, der die personenbezogenen Daten übermittelt;
e) bezeichnet der Begriff "Datenimporteur" den in einem Drittland ansässigen Verarbeiter, der sich bereit erklärt, vom Datenexporteur dessen Anweisungen und den Vorschriften dieser Entscheidung entsprechend Daten entgegenzunehmen, die nach der Übermittlung in dessen Auftrag verarbeitet werden sollen, und der nicht dem System eines Drittlands unterliegt, das ein angemessenes Schutzniveau bietet;
f) bezeichnet der Begriff "anwendbares Datenschutzrecht" die Vorschriften zum Schutz der Grundrechte und -freiheiten natürlicher Personen, insbesondere des Rechts auf Schutz der Privatsphäre im Hinblick auf die Verarbeitung personenbezogener Daten, die in dem Land, in dem der Datenexporteur ansässig ist, auf den für die Verarbeitung Verantwortlichen anzuwenden sind;
g) bezeichnet der Begriff "technische und organisatorische Sicherheitsmaßnahmen" Maßnahmen, die personenbezogene Daten vor der zufälligen oder unrechtmäßigen Zerstörung, dem zufälligen Verlust, der Änderung, der unberechtigten Weitergabe oder dem unberechtigten Zugang, insbesondere wenn die Verarbeitung die Übermittlung der Daten über ein Netzwerk umfasst, und gegen jede andere Form der unrechtmäßigen Verarbeitung schützen sollen.
Artikel 4
(1) Unbeschadet ihrer Befugnisse, tätig zu werden, um die Einhaltung nationaler Vorschriften gemäß den Kapiteln II, III, V und VI der Richtlinie 95/46/EG zu gewährleisten, können die zuständigen Kontrollstellen in den Mitgliedstaaten ihre bestehenden Befugnisse ausüben, indem sie zum Schutz von Privatpersonen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung in Drittländer verbieten oder aussetzen, wenn
a) feststeht, dass der Datenimporteur nach den für ihn geltenden Rechtsvorschriften Anforderungen unterliegt, die ihn zwingen, vom anwendbaren Datenschutzrecht in einem Maß abzuweichen, das über die Beschränkungen hinausgeht, die im Sinne von Artikel 13 der Richtlinie 95/46/EG für eine demokratische Gesellschaft erforderlich sind, und dass sich diese Anforderungen wahrscheinlich sehr nachteilig auf die Garantien auswirken würden, die das anwendbare Datenschutzrecht und die Standardvertragsklauseln bieten, oder
b) eine zuständige Behörde festgestellt hat, dass der Datenimporteur die Vertragsklauseln im Anhang nicht einhält, oder
c) eine hohe Wahrscheinlichkeit besteht, dass die im Anhang enthaltenen Standardvertragsklauseln derzeit oder künftig nicht eingehalten werden und die Fortsetzung der Übermittlung den betroffenen Personen einen schwerwiegenden Schaden zufügen würde.
(2) Das Verbot oder die Aussetzung gemäß Absatz 1 wird aufgehoben, sobald die Gründe für das Verbot oder die Aussetzung nicht mehr vorliegen.
(3) Sobald die Mitgliedstaaten Maßnahmen gemäß den Absätzen 1 und 2 ergreifen, informieren sie unverzüglich die Kommission, die ihrerseits die Informationen an die anderen Mitgliedstaaten weiterleitet.
Artikel 5
Die Kommission bewertet drei Jahre, nachdem sie den Mitgliedstaaten diese Entscheidung bekannt gegeben hat, anhand der verfügbaren Informationen ihre Durchführung. Sie legt dem durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss einen Bericht über ihre Feststellungen vor. Hierzu gehören auch sämtliche Erkenntnisse, die die Beurteilung der Angemessenheit der im Anhang enthaltenen Standardvertragsklauseln berühren könnten sowie etwaige Belege dafür, dass die Entscheidung in diskriminierender Weise angewandt wird.
Artikel 6
Diese Entscheidung gilt ab dem 3. April 2002.
Artikel 7
Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.
Brüssel, den 27. Dezember 2001
32002D0016
L 006/52
JURNALUL OFÍCIAL AL UNIUNII EUROPENE
DECIZIA COMISIEI
din 27 decembrie 2001
privind clauzele contractuale tip pentru transferul de date cu caracter personal către procesatorii de date stabiliți în țări terțe, în temeiul Directivei 95/46/CE
[notificată cu numărul C(2001) 4540]
(Text cu relevanță pentru SEE)
(2002/16/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 26 alineatul (4),
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se solicită să se asigure că transferul de date cu caracter personal către o țară terță are loc numai dacă țara terță în cauză asigură un nivel adecvat de protecție a datelor și dacă legile statelor membre respective, care sunt în conformitate cu celelalte dispoziții ale directivei, sunt respectate înainte de transferul datelor.
(2)
Cu toate acestea, articolul 26 alineatul (2) din Directiva 95/46/CE prevede că statele membre pot autoriza, sub rezerva anumitor garanții, un transfer sau o serie de transferuri de date cu caracter personal către țările terțe care nu asigură un nivel adecvat de protecție. Aceste garanții pot să decurgă în special din stabilirea unor clauze contractuale corespunzătoare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat pe baza întregii situații în care are loc operațiunea sau operațiunile de transfer de date. Grupul de lucru privind protecția persoanelor fizice în legătură cu prelucrarea datelor cu caracter personal înființat în temeiul directivei menționate (2) a publicat indicații pentru a facilita această evaluare (3).
(4)
Clauzele contractuale tip se referă numai la protecția datelor. Exportatorul și importatorul de date sunt liberi să includă orice alte clauze comerciale pe care le consideră relevante pentru contract cu condiția ca acestea să nu contravină clauzelor contractuale tip.
(5)
Prezenta decizie nu trebuie să aducă atingere autorizațiilor naționale pe care statele membre le pot acorda conform dispozițiilor interne de punere în aplicare a articolului 26 alineatul (2) din Directiva 95/46/CE. Prezenta decizie are numai efectul de a cere statelor membre să nu refuze să recunoască faptul că aceste clauze prevăzute de prezenta directivă oferă garanții corespunzătoare și ea nu are prin urmare nici un efect asupra altor clauze contractuale.
(6)
Domeniul de aplicare al prezentei decizii se limitează la stabilirea faptului că clauzele pe care le conține pot fi utilizate de un responsabil de date stabilit în Comunitate pentru a oferi garanții corespunzătoare în sensul articolului 26 alineatul (2) din Directiva 95/46/CE privind transferul de date cu caracter personal către un procesator de date stabilit într-o țară terță.
(7)
Prezenta decizie trebuie să pună în aplicare obligația prevăzută la articolul 17 alineatul (3) din Directiva 95/46/CE și nu aduce atingere conținutului contractelor sau actelor juridice stabilite în temeiul dispoziției menționate. Cu toate acestea, unele dintre clauzele contractuale tip, care se referă în special la obligațiile exportatorului de date, trebuie să fie incluse pentru a face mai clare dispozițiile susceptibile de a fi incluse într-un contract încheiat între responsabil și procesator.
(8)
Autoritățile de supraveghere ale statelor membre joacă un rol esențial în acest mecanism contractual, având în vedere că acestea se asigură că datele cu caracter personal sunt corespunzător protejate după efectuarea transferului. În cazurile excepționale în care exportatorii de date refuză sau nu sunt în măsură să-l instruiască pe importatorul de date în mod corespunzător și există un risc iminent de prejudiciere a datelor vizate, clauzele contractuale tip trebuie să permită autorităților de supraveghere să-i controleze pe importatorii de date și, după caz, să ia decizii cu caracter obligatoriu pentru aceștia. Autoritățile de supraveghere trebuie să aibă posibilitatea de a interzice sau suspenda un transfer sau o serie de transferuri de date pe baza clauzelor contractuale tip în acele cazuri excepționale în care s-a stabilit că transferul pe bază de contract este susceptibil să aibă efecte negative asupra garanțiilor și obligațiilor care oferă datelor vizate protecția adecvată.
(9)
În viitor, Comisia poate de asemenea să analizeze dacă clauzele contractuale tip privind transferul datelor cu caracter personal către procesatorii de date stabiliți în țări terțe care nu oferă un nivel corespunzător de protecție a datelor, prezentate de societăți comerciale sau alte părți interesate, oferă garanții corespunzătoare în conformitate cu articolul 26 alineatul (2) din Directiva 95/46/CE.
(10)
Divulgarea datelor cu caracter personal unui procesator de date stabilit în afara Comunității reprezintă un transfer internațional de date protejat în conformitate cu capitolul IV din Directiva 95/46/CE. În consecință, domeniul de aplicare al prezentei decizii nu include transferul datelor cu caracter personal efectuat de responsabili pentru prelucrarea datelor stabiliți în Comunitate către alți responsabili pentru prelucrarea datelor stabiliți în afara Comunității care intră sub incidența Deciziei Comisiei 2001/497/CE din 15 iunie 2001 privind clauzele contractuale tip pentru transferul de date cu caracter personal în țările terțe, conform Directivei 95/46/CE (4).
(11)
Clauzele contractuale tip trebuie să prevadă măsurile tehnice și organizatorice de securitate capabile să asigure nivelul de securitate corespunzător riscurilor reprezentate de prelucrarea și natura datelor care trebuie protejate, pe care trebuie să le aplice procesatorul de date stabilit într-o țară terță care nu oferă protecția adecvată. Părțile trebuie să prevadă în contract măsurile tehnice și organizatorice care, având în vedere legile aplicabile privind protecția datelor, nivelul tehnologic și costul aplicării, sunt necesare pentru a proteja datele cu caracter personal împotriva distrugerii accidentale sau ilicite sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat sau a oricăror altor forme ilicite de prelucrare.
(12)
Pentru a facilita circuitul datelor dinspre Comunitate, este de dorit să se permită procesatorilor care oferă servicii de prelucrare a datelor mai multor responsabili pentru prelucrarea datelor din Comunitate să aplice aceleași măsuri tehnice și organizatorice de securitate indiferent de statul membru în care își are originea transferul de date, în special în cazurile în care importatorul de date le primește, în vederea prelucrării ulterioare, de la diverse structuri ale exportatorului de date din Comunitate, situație în care trebuie să se aplice legea statului membru de stabilire desemnat.
(13)
Este de dorit să se stabilească informațiile minime pe care părțile trebuie să le specifice în contractul de transfer. Statele membre trebuie să-și păstreze dreptul de a preciza informațiile pe care trebuie să le furnizeze părțile. Aplicarea prezentei decizii trebuie revizuită pe baza experienței acumulate.
(14)
Importatorul de date trebuie să prelucreze datele cu caracter personal transferate numai în numele exportatorului de date și în conformitate cu instrucțiunile acestuia și obligațiile cuprinse în clauze. În special, importatorul de date nu trebuie să divulge datele cu caracter personal unei terțe părți decât în conformitate cu anumite condiții. Exportatorul de date trebuie să-l instruiască pe importatorul de date pe toată durata serviciilor de prelucrare a datelor să realizeze această prelucrare în conformitate cu instrucțiunile sale, legislația aplicabilă pentru protecția datelor și obligațiile cuprinse în clauze. Transferul datelor cu caracter personal către procesatorii de date stabiliți în afara Comunității nu aduce atingere faptului că activitățile de prelucrare trebuie să fie reglementate în orice caz de legea aplicabilă privind protecția datelor.
(15)
Clauzele contractuale tip trebuie să aibă caracter executoriu nu numai de către organizațiile ce sunt părți contractuale, dar și de persoanele fizice la care se referă, în special în cazul în care acestea suferă un prejudiciu în urma nerespectării contractului.
(16)
Persoana fizică la care se referă datele trebuie să aibă dreptul la o acțiune în instanță și, după caz, de a primi despăgubiri din partea exportatorului de date care este responsabilul pentru prelucrarea datelor cu caracter personal transferate. În mod excepțional, persoana fizică la care se referă datele trebuie să aibă dreptul de a introduce o acțiune în instanță și, după caz, de a primi despăgubiri din partea importatorului de date pentru nerespectarea uneia dintre obligațiile sale menționate la clauza 3 al doilea paragraf, în situația în care exportatorul de date a dispărut în fapt sau și-a încetat existența de drept sau a devenit insolvabil.
(17)
În cazul în care un diferend între persoana fizică în cauză care invocă clauza terțului beneficiar și importatorul de date nu se rezolvă pe cale amiabilă, importatorul de date trebuie să fie de acord să ofere persoanei în cauză posibilitatea de a alege între mediere, arbitrare sau acțiune în justiție. Persoana în cauză va avea realmente de ales în măsura în care dispune de sisteme de mediere și arbitrare fiabile și recunoscute. Medierea de către autoritățile de supraveghere a protecției datelor din statele membre în care este stabilit exportatorul de date trebuie să fie o opțiune în cazul în care aceste autorități oferă acest serviciu.
(18)
Contractul trebuie să fie guvernat de legea statului membru în care este stabilit exportatorul de date și care permite unui terț beneficiar să execute un contract. Persoanele la care se referă datele trebuie să aibă dreptul de a fi reprezentate de asociații sau alte organisme, dacă doresc acest lucru și dacă dreptul intern îl permite.
(19)
Grupul de lucru privind protecția persoanelor fizice în legătură cu prelucrarea datelor cu caracter personal stabilit în temeiul articolului 29 din Directiva 95/46/CE și-a dat avizul cu privire la nivelul de protecție oferit pe baza clauzelor contractuale tip anexate la prezenta decizie, aviz de care s-a ținut seama la elaborarea prezentei decizii (5).
(20)
Măsurile prevăzute de prezenta decizie sunt în conformitate cu avizul comitetului stabilit conform articolului 31 din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
Se consideră că clauzele contractuale tip specificate de anexă oferă garanții corespunzătoare în legătură cu protecția vieții private și a drepturilor și libertăților fundamentale ale persoanelor cât și cu exercitarea drepturilor corespunzătoare conform cerințelor formulate la articolul 26 alineatul (2) din Directiva 95/46/CE.
Articolul 2
Prezenta decizie se referă numai la gradul de adecvare al protecției oferită de clauzele contractuale tip specificate de anexă privind transferul datelor cu caracter personal către procesatorii de date. Ea nu afectează aplicarea altor dispoziții interne de punere în aplicare a Directivei 95/46/CE care se referă la prelucrarea datelor cu caracter personal în statele membre.
Prezenta decizie se aplică transferului de date cu caracter personal de către responsabilii pentru procesarea datelor stabiliți în Comunitate către destinatari stabiliți în afara teritoriului Comunității care îndeplinesc în exclusivitate rolul de procesatori de date.
Articolul 3
În sensul prezentei decizii:
(a)
se aplică definițiile din Directiva 95/46/CE;
(b)
„categorii speciale de date” înseamnă datele menționate la articolul 8 din directiva menționată anterior;
(c)
„autoritate de supraveghere” înseamnă autoritatea menționată la articolul 28 din directiva menționată anterior;
(d)
„exportator de date” înseamnă responsabilul care transferă datele cu caracter personal;
(e)
„importator de date” înseamnă procesatorul stabilit într-o țară terță care este de acord să primească, de la exportatorul de date, datele cu caracter personal destinate prelucrării ulterioare în numele exportatorului în conformitate cu instrucțiunile acestuia și cu condițiile prezentei decizii și care nu este supus unui sistem al unei țări terțe capabil să asigure o protecție adecvată;
(f)
„dreptul aplicabil protecției datelor” înseamnă legislația care protejează drepturile și libertățile fundamentale ale persoanelor fizice și în special dreptul lor la viață privată cu privire la procesarea datelor cu caracter personal, aplicabilă responsabilului de date din statul membru în care este stabilit exportatorul de date;
(g)
„măsuri tehnice și organizatorice de securitate” înseamnă măsurile menite să protejeze datele cu caracter personal împotriva distrugerii accidentale sau ilicite sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat sau a oricăror altor forme ilicite de procesare.
Articolul 4
(1) Fără a aduce atingere competențelor lor de a lua măsuri de respectare a dispozițiilor interne adoptate în temeiul capitolelor II, III, V și VI din Directiva 95/46/CE, autoritățile competente ale statelor membre își pot exercita atribuțiile existente de interzicere sau suspendare a fluxului de date către țările terțe pentru a proteja persoanele fizice în legătură cu procesarea datelor lor cu caracter personal în cazurile în care:
(a)
s-a stabilit că dreptul căruia i se supune importatorul de date îl obligă pe acesta la derogări de la dreptul aplicabil protecției datelor cu caracter personal, care depășesc restricțiile necesare într-o societate democratică conform articolului 13 din Directiva 95/46/CE în situația în care respectivele obligații sunt susceptibile de a avea efecte negative importante asupra garanțiilor oferite de dreptul aplicabil protecției datelor cu caracter personal și clauzele contractuale tip sau
(b)
o autoritate competentă a stabilit că importatorul de date nu a respectat clauzele contractuale din anexă sau
(c)
este foarte probabil că aceste clauze contractuale din anexă nu sunt respectate sau nu vor fi respectate și continuarea transferului de date să creeze un risc iminent de prejudiciere gravă a persoanelor fizice la care se referă.
(2) Interzicerea sau suspendarea în temeiul alineatului (1) sunt ridicate de îndată ce motivele care le justifică nu mai există.
(3) În cazul în care statele membre adoptă măsuri în temeiul alineatelor (1) și (2), ele informează fără întârziere Comisia care transmite informațiile respective celorlalte state membre.
Articolul 5
Comisia evaluează aplicarea prezentei decizii, pe baza informațiilor disponibile, la trei ani după ce aceasta a fost notificată statelor membre. Comisia prezintă comitetului înființat conform articolului 31 din Directiva 95/46/CE un raport cu privire la constatările făcute. Ea include toate dovezile care pot afecta evaluarea gradului de adecvare al clauzelor contractuale tip din anexă cât și orice dovezi de aplicare discriminatorie a prezentei decizii.
Articolul 6
Prezenta decizie se aplică de la 3 aprilie 2002.
Articolul 7
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 27 decembrie 2001.